IPIP IPsec VPN itonela phakathi komatshini weLinux kunye neMikrotik ngasemva komnikezeli weNAT

I-Linux: Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-generic x86_64)

• Eth0 1.1.1.1/32 IP yangaphandle
• ipip-ipsec0 192.168.0.1/30 iya kuba yitonela yethu

Miktoik: CCR 1009, RouterOS 6.46.5

• Eth0 10.0.0.2/30 IP yangaphakathi evela kumboneleli. I-IP yangaphandle ye-NAT yomboneleli iyaguquguquka.
• ipip-ipsec0 192.168.0.2/30 iya kuba yitonela yethu

Siza kwenza itonela ye-IPsec kumatshini we-Linux usebenzisa i-racoon. Andiyi kuchaza iinkcukacha, kukho okulungileyo inqaku у vvpoloskin.

Faka iipakethe eziyimfuneko:

sudo install racoon ipsec-tools

Siqwalasela i-racoon, iya kusebenza ngokwemiqathango njengomncedisi we-ipsec. Ekubeni i-mikrotik ikwimowudi engundoqo ayinako ukuthumela isichongi somxhasi esongezelelweyo, kwaye idilesi ye-IP yangaphandle edityaniswa ngayo kwiLinux iyaguquguquka, usebenzisa isitshixo ekwabelwana ngaso ngaphambili (ugunyaziso lwegama lokugqithisa) aluyi kusebenza, ekubeni igama lokugqitha kufuneka lithelekiswe nokuba nedilesi ye IP ye umamkeli oqhagamshelayo, okanye ngesichongi.

Siza kusebenzisa isigunyaziso sisebenzisa izitshixo zeRSA.

I-racoon daemon isebenzisa izitshixo kwifomathi ye-RSA, kwaye i-mikrotik isebenzisa ifomethi ye-PEM. Ukuba uvelisa izitshixo usebenzisa i-plainrsa-gen utility ehamba ne-racoon, ngoko awuyi kukwazi ukuguqula isitshixo sikawonkewonke seMikrotika kwifomathi ye-PEM ngoncedo lwayo - iguqula kuphela kwicala elinye: i-PEM ukuya kwi-RSA. Nokuba i-openssl okanye i-ssh-keygen ayinakufunda isitshixo esenziweyo yi-plainrsa-gen, ngoko ke uguqulo alunakwenzeka ukuba lusetyenziswe nabo.

Siza kuvelisa isitshixo se-PEM sisebenzisa i-openssl kwaye emva koko siyiguqulele i-racoon usebenzisa i-plainrsa-gen:

#  Генерируем ключ
openssl genrsa -out server-name.pem 1024
# Извлекаем публичный ключ
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# Конвертируем
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key

Siza kubeka izitshixo ezifunyenweyo kwifolda: /etc/racoon/certs/server. Ungalibali ukuseta umnini womsebenzisi phantsi kwegama lakhe i-daemon ye-racoon iqaliswe (ngokuqhelekileyo ingcambu) kwiimvume ze-600.

Ndiza kuchaza ukuseta i-mikrotik xa uqhagamshela ngeWinBox.

Layisha iqhosha le-server-name.pub.pem kwi-mikrotik: Imenyu "Iifayile" - "Layisha".

Vula icandelo elithi "IP" - "IP sec" - "Amaqhosha" ithebhu. Ngoku senza izitshixo - iqhosha elithi "Yenza isitshixo", emva koko uthumele iqhosha likawonkewonke le-mikrotika "Expor Pub. Isitshixo", unokuyikhuphela kwicandelo elithi "Iifayile", cofa ekunene kwifayile - "Khuphela".

Singenisa iqhosha likawonke-wonke le-racoon, "Ngenisa", kuluhlu oluhlayo lwendawo ethi "Igama lefayile" sijonga i-server-name.pub.pem esiyikhuphele ngaphambili.

Isitshixo sikawonke-wonke se-mikrotik kufuneka siguqulwe

plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key

kwaye uyibeke kwifolda /etc/racoon/certs, ungalibali malunga nomnini kunye namalungelo.

iracoon config enezimvo: /etc/racoon/racoon.conf

log info; # Уровень логирования, при отладке используем Debug или Debug2.

listen {

    isakmp 1.1.1.1 [500]; # Адрес и порт, на котором будет слушать демон.
    isakmp_natt 1.1.1.1 [4500]; # Адрес и порт, на котором будет слушать демон для клиентов за NAT.
    strict_address; # Выполнять обязательную проверку привязки к указанным выше IP.
}

path certificate "/etc/racoon/certs"; # Путь до папки с сертификатами.

remote anonymous { # Секция, задающая параметры для работы демона с ISAKMP и согласования режимов с подключающимися хостами. Так как IP, с которого подключается Mikrotik, динамический, то используем anonymous, что разрешает подключение с любого адреса. Если IP у хостов статический, то можно указать конкретный адрес и порт.

    passive on; # Задает "серверный" режим работы демона, он не будет пытаться инициировать подключения.
    nat_traversal on; # Включает использование режима NAT-T для клиентов, если они за NAT. 
    exchange_mode main; # Режим обмена параметрами подключения, в данном случае ---согласование.
    my_identifier address 1.1.1.1; # Идентифицируем наш linux хост по его ip адресу.
    certificate_type plain_rsa "server/server-name.priv.key"; # Приватный ключ сервера.
    peers_certfile plain_rsa "mikrotik.pub.key"; # Публичный ключ Mikrotik.

    proposal_check claim; # Режим согласования параметров ISAKMP туннеля. Racoon будет использовать значения подключающегося хоста (инициатора) для срока действия сессии                   и длины ключа, если его срок действия сессии больше, или длина его ключа короче, чем у инициатора. Если срок действия сессии короче, чем у инициатора, racoon использует собственное значение срока действия сессии и будет отправлять сообщение RESPONDER-LIFETIME.
    proposal { # Параметры ISAKMP туннеля.

        encryption_algorithm aes; # Метод шифрования ISAKMP туннеля.
        hash_algorithm sha512; # Алгоритм хеширования, используемый для ISAKMP туннеля.
        authentication_method rsasig; # Режим аутентификации для ISAKMP туннеля - по RSA ключам.
        dh_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана при согласовании ISAKMP туннеля.
        lifetime time 86400 sec; Время действия сессии.
    }

    generate_policy on; # Автоматическое создание ESP туннелей из запроса, пришедшего от подключающегося хоста.
}

sainfo anonymous { # Параметры ESP туннелей, anonymous - указанные параметры будут использованы как параметры по умолчанию. Для разных клиентов, портов, протоколов можно              задавать разные параметры, сопоставление происходит по ip адресам, портам, протоколам.

    pfs_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана для ESP туннелей.
    lifetime time 28800 sec; # Срок действия ESP туннелей.
    encryption_algorithm aes; # Метод шифрования ESP туннелей.
    authentication_algorithm hmac_sha512; # Алгоритм хеширования, используемый для аутентификации ESP туннелей.
    compression_algorithm deflate; # Сжимать передаваемые данные, алгоритм сжатия предлагается только один.
}

uqwalaselo lwe mikrotik

Buyela kwicandelo "IP" - "IPsec"

"Iiprofayili" ithebhu
IParamu
Nentsingiselo

igama
Ngokwengqiqo yakho (ngokungagqibekanga)

Hash Algorithm
sha512

Uguqulelo oluntsonkothileyo
ees-128

Iqela le-DH
modp2048

Iproposhal_check
Kleyima

Ubomi bonke
1d 00:00:00

Ukuhanjiswa kweNAT
yinyani (jonga ibhokisi)

DPD
120

DPD Ubukhulu bokusilela
5

Ntanga tab
IParamu
Nentsingiselo

igama
Ngokwengqiqo yakho (emva koku kubhekiselwa kuyo njengeMyPeer)

idilesi
1.1.1.1 (oomatshini be-IP Linux)

Idilesi yendawo
10.0.0.2 (IP WAN interface mikrotik)

profayile
Engagqibekanga

Imo Yokutshintshana
eyona

I-Passive
amanga

Thumela u-INITIAL_CONTACT
oyinyaniso

Ithebhu yesindululo
IParamu
Nentsingiselo

igama
Ngokwengqiqo yakho (emva koku kubhekiselwa kuyo njengeMyPeerProposal)

Ububhali. Algorithms
sha512

Enncr. Algorithms
aes-128-cbc

Ubomi bonke
08:00:00

Iqela lePFS
modp2048

"Izazisi" ithebhu
IParamu
Nentsingiselo

Oontanga
Ntanga Yam

Atuh. Indlela
rsa isitshixo

isitshixo
mikrotik.privet.key

Isitshixo sokude
Igama lomncedisi.pub.pem

Iqela leSifanekiso sePolisi
Engagqibekanga

Notrack Chain
engenanto

Uhlobo lwesazisi sam
auto

Uhlobo lweSazisi olukude
auto

Tshatisa Ngu
id ekude

Uqwalaselo lweNdlela
engenanto

Yenza uMgaqo-nkqubo
hayi

Ithebhu "Imigaqo-nkqubo-Ngokubanzi"
IParamu
Nentsingiselo

Oontanga
Ntanga Yam

Ikhonkco
oyinyaniso

Src. Idilesi
192.168.0.0/30

Dest. Idilesi
192.168.0.0/30

Protocol
255 (bonke)

template
amanga

Ithebhu "Imigaqo-nkqubo-Isenzo"
IParamu
Nentsingiselo

inyathelo
kubhala

Nqanaba
umceli

IPsec Protocols
sp

Proposition
MyPeerProposal

Okunokwenzeka, njengam, une-snat/masquerade eqwalaselweyo kujongano lwakho lwe-WAN; lo mgaqo kufuneka uhlengahlengiswe ukuze iipakethi ze-ipsec eziphumayo zingene kwitonela yethu:
Yiya kwi "IP" - "Firewall" icandelo.
"NAT" ithebhu, vula umthetho wethu we-snat/masquerade.

iTab ekwinqanaba eliphezulu
IParamu
Nentsingiselo

IPsec Policy
ngaphandle: akukho

Ukuqalisa kwakhona idemon ye-racoon

sudo systemctl restart racoon

Ukuba i-racoon ayiqalisi ekuqaleni kwakhona, kukho impazamo kwi-config; kwi-syslog, i-racoon ibonisa ulwazi malunga nenombolo yomgca apho impazamo ifunyenwe khona.

Xa iibhutsi ze-OS, iracoon daemon iqala phambi kokuba ujongano lomsebenzi womnatha lunyuswe, kwaye sikhankanye i-strict_address ukhetho kwicandelo lokumamela; kufuneka udibanise iyunithi yeracoon kwifayile ye-systemd.
/lib/systemd/system/racoon.service, kwicandelo [Iyunithi], umgca After=network.target.

Ngoku iitonela zethu ze-ipsec kufuneka ziphakame, jonga isiphumo:

sudo ip xfrm policy

src 192.168.255.0/30 dst 192.168.255.0/30 
    dir out priority 2147483648 
    tmpl src 1.1.1.1 dst "IP NAT через который подключается mikrotik"
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir fwd priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir in priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel

Ukuba amatonela akaphakamanga, jonga i-syslog, okanye i-journalctl -u racoon.

Ngoku kufuneka uqwalasele i-L3 interfaces ukuze itrafikhi ihambe. Kukho iinketho ezahlukeneyo, siya kusebenzisa i-IPIP, ekubeni i-mikrotik iyayixhasa, ndiya kusebenzisa i-vti, kodwa, ngelishwa, ayikaphunyezwa kwi-mikrotik. Ihluke kwi-IPIP ngokuba iyakwazi ukongeza i-multicast kwaye ifake ii-fwmarks kwiipakethi, apho zinokuthi zihluzwe kwiiptables kunye ne-iproute2 (umgaqo-nkqubo osekelwe kumgaqo-nkqubo). Ukuba ufuna ukusebenza okuphezulu, ngoko, umzekelo, GRE. Kodwa ungakulibali ukuba sihlawula umsebenzi owongezelelweyo ngentloko enkulu.

Ungalubona uguqulelo lophononongo olulungileyo lwemidibaniso yetonela apha.

Kwi Linux:

# Создаем интерфейс
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# Активируем
sudo ip link set ipip-ipsec0 up
# Назначаем адрес
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0

Ngoku unokongeza iindlela zothungelwano ngasemva kwe mikrotik

sudo ip route add A.B.C.D/Prefix via 192.168.255.2

Ukuze ujongano lwethu kunye neendlela ziphakanyiswe emva kokuqaliswa kwakhona, kufuneka sichaze i-interface kwi / etc / network / interfaces kwaye songeze iindlela apho kwi-post-up, okanye ubhale yonke into kwifayile enye, umzekelo, /etc/ ipip-ipsec0.conf kwaye uyitsale nge-post-up, ungalibali malunga nomnini wefayile, amalungelo kwaye uyenze iphunyezwe.

Ngezantsi ngumzekelo wefayile

#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0

ip route add A.B.C.D/Prefix via 192.168.255.2

KwiMikrotik:

Icandelo "IiNdibaniselwano", yongeza ujongano olutsha "itonela ye-IP":

Ithebhu "Itonela ye-IP" - "Ngokubanzi"
IParamu
Nentsingiselo

igama
Ngokwengqiqo yakho (emva koku kubhekiselwa kuyo njenge-IPIP-IPsec0)

UMNTU
1480 (ukuba ayichazwanga, i-mikrotik iqala ukusika umntu ukuya kuma-68)

Idilesi yendawo
192.168.0.2

Idilesi ekude
192.168.0.1

IPsec Imfihlo
Yenza intsimi ingasebenzi (kungenjalo kuyakwenziwa uMlingane omtsha)

Gcina
Yenza intsimi ingasebenzi (kungenjalo ujongano luyacima rhoqo, kuba i mikrotika inefomathi yayo yezi phakheji kwaye ayisebenzi nge Linux)

I-DSCP
ilifa

Musa ukuqhekeza
hayi

Bamba TCP MSS
oyinyaniso

Vumela umendo okhawulezayo
oyinyaniso

Icandelo "IP" - "Iidilesi", yongeza idilesi:

IParamu
Nentsingiselo

idilesi
192.168.0.2/30

ujongano
IPIP-IPsec0

Ngoku unokongeza iindlela kuthungelwano ngasemva komatshini weLinux; xa usongeza indlela, isango liya kuba yi IPIP-IPsec0 yethu yojongano.

PS

Kuba iseva yethu yeLinux iyatshintsha, iyavakala ukuseta iparameter yeClamp TCP MSS yojongano lweipip kuyo:

yenza ifayile /etc/iptables.conf ngeziqulatho zilandelayo:

*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

kwaye kwi/etc/network/interfaces
post-up iptables-restore < /etc/iptables.conf

Ndine nginx esebenza kuthungelwano ngasemva kwe-mikrotik (ip 10.10.10.1), yenza ukuba ifikeleleke kwi-Intanethi, yongeze kuyo /etc/iptables.conf:

*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#На mikrotik, в таблице mangle, надо добавить правило route с назначением 192.168.0.1 для пакетов с адресом источника 10.10.10.1 и портов 80, 443.

# Так же на linux работает OpenVPN сервер 172.16.0.1/24, для клиентов которые используют подключение к нему в качестве шлюза даем доступ в интернет
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT 

Ungalibali ukongeza iimvume ezifanelekileyo kwiiptables ukuba unezihlungi zepakethi ezisebenzayo.

Si kelela!

umthombo: www.habr.com